CN105959942A - 一种基于无线接入的身份认证系统及其方法 - Google Patents

Abstract

本发明提供了一种基于无线接入的身份认证系统及其方法，在该系统中包括：无线终端、无线接入端及认证服务器，其中，无线终端中包括：用于获取用户信息的信息获取模块和用于存储生成第一认证码的安全插件的第一存储模块，安全插件内置运算算法；认证服务器中包括：第二存储模块及第一认证模块；第二存储模块中存有生成第二认证码的安全插件，认证模块基于生成的第二认证码对第一认证码进行认证；无线接入端基于认证服务器的认证结果实现无线终端无线信号的接入。无线终端只需首次登录无线网时完成验证并下载安全插件，后续再登录该无线网时时无需再输入用户信息，安全插件可完成自动认证及无线网的连接，极大地提高了用户的便利性和安全性。

Description

一种基于无线接入的身份认证系统及其方法

技术领域

本发明涉及通信技术领域，尤其涉及一种身份认证系统及其方法。

背景技术

随着信息科技的发展，人们对互联网越来越依赖。为了为客户提供便利，很多公共场所，如银行营业网点等都会提供无线接入点。

现有的无线接入机制一般包括：1).免密码登录，即在相应公众场所中并未设置密码，通信设备只要连接上了该区域的无线网就能直接登录；2).静态密码登录，即在相应公众场所设置静态密码，通信设置连接了上该无线网之后输入该静态密码进行认证登录；3).用手机号登录，通信设备连接上该无线网之后发送验证码请求至认证服务器，认证服务器将验证码发送至该通信设备进行验证登录。

在以上三种现有的普遍登录方式中存在如下问题：对于免密码登录方式来说，存在安全隐患，用户信息容易发生泄漏；对于静态密码登录方式来说，若设置的静态密码过于简单，很容易被破解，不够安全，若设置的静态密码太复杂又会使认证步骤复杂，造成记忆困难，操作时间长，容易输错；对于利用手机密码登录的方式来说，每次连接都需要进行手机验证，给用户带来不便。

更重要的是，在上述登录方式中，用户在连接银行营业网点等公共场所的免费无线网时，还存在较大的安全风险，如，犯罪分子会架构一个模仿公共无线网名称或命名方式的钓鱼无线网，吸引用户连接该钓鱼无线网。以此，当移动终端连接到该钓鱼无线网后，犯罪分子就可以通过钓鱼无线网窃取用户的银行账户、密码等。

发明内容

针对上述问题，本发明提供了一种基于无线接入的身份认证系统及其方法，其在接入无线网之前对各自的身份进行认证，保障了无线终端的安全性。

本发明提供的技术方案如下：

一种基于无线接入的身份认证系统，包括：无线终端、无线接入端以及认证服务器，其中，

连接所述无线接入端发射的无线信号的无线终端中包括：用于获取用户信息的信息获取模块和第一存储模块，所述第一存储模块用于存储生成第一认证码的安全插件，所述安全插件内置与用户唯一关联的运算算法和用户信息；

与所述无线终端通信连接的认证服务器中包括：第二存储模块及与所述第二存储模块连接的第一认证模块；所述第二存储模块中存有生成第二认证码的所述安全插件，所述认证模块基于生成的第二认证码对所述第一认证码进行认证；

与所述认证服务器通信连接的所述无线接入端基于所述认证服务器的认证结果实现所述无线终端无线信号的接入。

进一步优选地，所述用户信息包括：用户名、登录密码、地址信息、无线终端的移动设备标识或通用唯一识别码。

进一步优选地，所述认证服务器中还包括一与所述第二存储模块连接的第一随机数生成模块，所述第一随机数生成模块生成第一随机参数；

所述认证服务器中的安全插件基于其该第一随机参数生成挑战码，并将所述挑战码和第一随机参数一起下发至所述无线终端；

所述无线终端中的安全插件基于接收到的第一随机参数生成认证挑战码，实现对所述认证服务器的认证。

进一步优选地，所述第二存储模块中还预存有一预设算法；所述第一随机数生成模块基于所述用户信息生成所述随机密钥；

所述认证服务器中还包括：算法重置模块以及编译模块；其中，

所述算法重置模块，分别与所述第二存储模块和所述第一随机数生成模块连接，所述算法重置模块基于所述随机密钥和所述预设算法生成所述运算算法；

所述编译模块，与所述算法重置模块连接，所述编译模块将所述算法重置模块生成的所述运算算法和用户信息编译为所述安全插件。

进一步优选地，所述算法重置模块中包括：

优先级确定单元，用于根据所述随机密钥确定所述运算算法的运算优先级；和/或，

结构确定单元，用于根据所述随机密钥确定所述运算算法的分组结构及所述分组结构运算优先级；和/或，

参数确定单元，用于根据所述随机密钥确定所述运算算法中的运算参数。

进一步优选地，所述无线接入端中包括：第二随机数生成模块、第三存储模块以及第二认证模块，其中，

所述第二随机数生成模块，与所述第三存储模块连接，所述第二随机数生成模块用于生成第二随机参数，并将所述第二随机参数存储在第三存储模块中；

所述第二认证模块，与所述第三存储模块连接，所述第二认证模块用于认证所述用户信息和所述第二随机参数。

本发明还提供了一种基于无线接入的身份认证方法，包括：

S1无线终端连接无线接入端发射的无线信号；

S2无线终端中的安全插件生成第一认证码，并将该第一认证码发送至认证服务器；

S3认证服务器接收到第一认证码，基于其内置的安全插件生成第二认证码；

S4认证服务器将生成的第二认证码与接收到的第一认证码进行比对；

S5认证服务器将认证结果发送至无线接入端；

S6所述无线接入端基于所述认证结果判定是否允许所述无线终端接入无线网。

进一步优选地，在步骤S1之前，还包括以下步骤：

S01无线终端获取用户信息，并基于该用户信息发送登录请求至无线接入端；

S02所述无线接入端接收到所述登录请求后，对其中的用户信息进行验证；

S03所述用户信息验证通过之后，所述无线接入端将所述用户信息进行存储，并将验证结果返回至所述无线终端；

S04所述无线终端接收所述验证结果，发送验证码请求至所述无线接入端；

S05所述无线接入端接收所述验证码请求之后，随机生成第二随机参数作为验证码发送至所述无线终端；

S06所述无线终端接收并显示所述验证码，同时基于接收到的所述验证码发送验证码认证请求至所述无线接入端；

S07所述无线接入端接收所述验证码认证请求，并对所述验证码进行认证；若认证成功，将用户信息和安全插件生成请求一并发送至认证服务器；

S08认证服务器接收所述安全插件生成请求，基于所述用户信息和内置的预设算法生成运算算法；

S09所述认证服务器将所述运算算法和用户信息编程成安全插件，并将所述安全插件返回至无线终端中。

进一步优选地，在步骤S3中认证服务器接收到第一认证码之后，还包括：

S31认证服务器生成第一随机参数；

S32认证服务器中的安全插件基于该第一随机参数生成挑战码；

S33认证服务器将所述挑战码和第一随机参数一起下发至所述无线终端；

S34无线终端中的安全插件基于接收到的第一随机参数生成认证挑战码，实现对所述认证服务器的认证。

进一步优选地，在步骤S2中，无线终端中的安全插件基于其内置的运算算法和用户信息生成第一认证码；和/或，

在步骤S3中，认证服务器中的安全插件基于其内置的运算算法和用户信息生成第二认证码；和/或，

在步骤S02中，所述无线接入端基于接收到的用户信息在当前用户列表中进行查找，若未查找到相同的用户信息，则验证成功。

进一步优选地，在步骤S08中，具体包括：

基于用户信息生成随机密钥；

基于所述随机密钥确定所述运算算法优先级的运算优先级、和/或基于所述随机密钥确定所述运算算法的分组结构及所述分组结构的运算优先级，和/或基于所述随机密钥确定所述运算算法中运算参数以生成运算算法。

本发明提供的基于无线接入的身份认证系统及其方法，能够带来以下有益效果：

在本发明提供的身份认证系统中，用户在第一次连接无线接入端时，在对无线终端进行了认证之后，认证服务器会基于生成的随机密钥和预先设定好的重置规则(确定运算优先级和/或确定分组结构和/或确定运算参数)生成与用户关联的唯一的安全插件(内置运算算法和用户信息)，并将该安全插件分别存储在无线终端和认证服务器中。由于随机密钥是根据用户信息生成的，具备唯一性，以此保障了生成的运算算法的唯一性，基于该运算算法和用户信息编译生成的安全插件自然具备了唯一性。这样每个无线终端中存储的安全插件都是唯一的，不容易被破解，即使其中某一个无线终端被破译了，也不会影响其他无线终端的安全登录，大大地提高了无线终端登录无线网过程中的安全性能。

再有，在进行安全认证的过程中，无线终端只需首次登录无线网时完成验证并下载安全插件，后续再登录该无线网时时无需再输入用户信息(包括用户名、登录密码等)，安全插件在后台即可完成自动认证及无线网的连接，极大地提高了用户的便利性。另外，在本发明中，在每次连接过程中安全插件会验证认证服务端下发的挑战码，以此识别需要连接的无线接入点(该无线接入端发射的无线网)是否为钓鱼接入点，极大地提高了无线终端的安全性能。

最后，本发明提供的身份认证系统适用于任意一个现有的需用户连接的无线接入端，如，登入银行营业网点等，应用上具备普适性，大大扩展了应用领域。

附图说明

下面将以明确易懂的方式，结合附图说明优选实施方式，对上述特性、技术特征、优点及其实现方式予以进一步说明。

图1为本发明中基于无线接入的身份认证系统的结构示意图；

图2为本发明中基于无线接入的身份认证系统一种实施方式结构示意图；

图3为本发明中认证服务器一种实施方式结构示意图；

图4为本发明中认证服务器另一种实施方式结构示意图；

图5为本发明中无线接入端一种实施方式结构示意图；

图6为本发明中基于无线接入的身份认证方法流程示意图；

图7为本发明中第一次连接无线接入端的流程示意图。

附图标号说明：

100-身份认证系统，110-无线终端，111-信息获取模块，112-第一存储模块，120-无线接入端，121-第二随机数生成模块，122-第三存储模块，123-第二认证模块，130-认证服务器，131-第二存储模块，132-第一认证模块，133-第一随机数生成模块，134-算法重置模块，135-编译模块。

具体实施方式

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对照附图说明本发明的具体实施方式。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图，并获得其他的实施方式。

如图1所示为本发明提供的基于无线接入的身份认证系统100，从图中可以看出，在该身份认证系统100中包括：无线终端110、无线接入端120以及认证服务器130。

具体来说，在一种实施方式中，如图2所示，连接无线接入端120发射的无线信号的无线终端110中包括：用于获取用户信息(包括用户名、登录密码、地址信息、无线终端的移动设备标识或通用唯一识别码等)的信息获取模块111和第一存储模块112，在该第一存储模块112中预存有用于生成第一认证码的安全插件，在该安全插件中内置与用户唯一关联的运算算法和用户信息。与无线终端110通信连接的认证服务器130中包括：第二存储模块131及与第二存储模块131连接的第一认证模块132；第二存储模块131中存有生成第二认证码的安全插件，认证模块基于生成的第二认证码对第一认证码进行认证；与认证服务器130通信连接的无线接入端120基于认证服务器130的认证结果实现无线终端110无线信号的接入。在具体实施例中，上述无线终端110为手机或平板电脑等，无线接入端120为无线接入点、无线路由等。

在工作过程中，当无线终端110需要连接到无线接入端120发射的无线信号时，先开启无线终端110的无线连接功能，并连接上该无线信号(即无线终端110本地连接成功)。连接上了该无线信号之后，无线终端110随即使用其内置的安全插件基于运算算法和用户信息生成第一认证码，并将该用户信息和第一认证码一并发送至认证服务器130。认证服务器130接收到该用户信息之后，随即在第二存储模块131中根据用户信息中的用户名、无线终端的移动设备标识、通用唯一识别码等能够唯一标识该用户的信息查找到与之关联的安全插件(与无线终端110中存储的安全插件相同)，该安全插件使用内置的运算算法和用户信息生成第二认证码，并将生成的第二认证码与第一认证码进行比较。如果第二认证码和第一认证码相同，则认证服务器130对该无线终端110认证成功，此时认证服务器130发送控制指令至无线接入端120，允许该无线终端110接入外网；否则，认证服务器130反馈认证失败指令至无线终端110，进行重新认证。要说明的是，在无线终端100和认证服务器130基于用户信息生成第一认证码和第二认证码的过程中，至少将用户信息中的用户名、无线终端的移动设备标识、通用唯一识别码等能够唯一标识该用户的信息中的一个作为计算因子，登录密码、地址信息等信息不作为必要的计算因子，可以根据实际情况进行选定。

对上述实施方式进行改进得到本实施方式，如图3所示，认证服务器130中还包括一与第二存储模块131连接的第一随机数生成模块133，在本实施方式中，该第一随机数生成模块133用于生成第一随机参数。在认证过程中，无线终端110向认证服务器130发送了第一认证码之后，认证服务器130中的安全插件会基于第一随机数生成模块133生成的第一随机参数生成挑战码，并将挑战码和第一随机参数一起下发至无线终端110。无线终端110接收到该挑战码和第一随机参数之后，其内置的安全插件会基于接收到的第一随机参数生成认证挑战码，进而将生成的认证挑战码和接收到的挑战码进行比较，若比对成功，则实现无线终端对对认证服务器130的认证；否则说明该无线接入端120是钓鱼接入点。

从以上描述的过程中可以看出，本发明提供的身份认证系统100中，除了调用的安全插件中的运算算法具备唯一性之外；整个认证过程中无线终端110和认证服务器130会相互进行身份的认证，一旦未认证成功，就会报错，极大程度上保障了认证过程的安全性能，进而提高了该身份认证系统100的安全性能。

对上述实施方式进行改进得到本实施方式，如图4所示，在本实施方式中，第二存储模块131中还预存有一预设算法；在本实施方式中，第一随机数生成模块133基于用户信息(如，用户信息中的用户名、无线终端的移动设备标识、通用唯一识别码等)生成一随机数，并将该随机数作为运算的随机密钥。另外，在本实施方式中，认证服务器130中还包括：算法重置模块134以及编译模块135；其中，算法重置模块134分别与第二存储模块131和第一随机数生成模块133连接，编译模块135与算法重置模块134连接，当无线终端110第一次连接无线接入端120时，认证服务器130会基于用户输入的用户信息生成安全插件，并将其下发至无线终端110中进行存储，以下我们对安全插件的生成过程作出描述：

具体来说，认证服务器130在接收到安全插件生成请求时，随即会发送指令至第一随机数生成模块133基于接收到的用户信息生成一随机数并将其作为随机密钥发送到算法重置模块134中。算法重置模块134接收到随机密钥之后，基于该随机密钥将存储在第二存储模块131中的预设算法进行重置得到运算算法。最后，认证服务器130中的编译模块135将运算算法和用户信息一起编程成安全插件，最后将安全插件返回至无线终端110中进行存储。

进一步来说，在上述算法重置模块134中包括：优先级确定单元，用于根据随机密钥确定运算算法的运算优先级；和/或，结构确定单元，用于根据随机密钥确定运算算法的分组结构及分组结构运算优先级；和/或，参数确定单元，用于根据随机密钥确定运算算法中的运算参数。

基于以上描述，以下我们对运算算法的生成过程进行描述：

在一个具体实施例中，优先级确定单元改变预设算法的运算优先级的过程具体为：假若生成的随机数(随机密钥)为8位数，则算法生成模块会根据该随机密钥改变预设算法的运算先后顺序。具体，如果预设算法中正好总共包括了8个步骤，则该优先级确定单元会根据生成的随机密钥对这8个步骤进行在运算过程中的优先级进行重新排序。假若生成的随机密钥为83251764，则生成的运算算法中，原本预设算法中的步骤8优先运算，之后是步骤3、步骤2、步骤5、步骤1、步骤7、步骤6以及步骤4先后运算，以此改变了原有预设算法的运算顺序，生成新的运算算法。当然，基于该随机密钥，改变预设算法的规则可以根据实际情况进行相应的变化，如该随机密钥中的第1位8代表将原本预设算法中8个步骤中的第1个步骤作为运算算法中的第8个步骤进行运算；随机密钥中第二位中的3代表将原本预设算法中8个步骤中的第2个步骤作为运算算法中的第3个步骤进行运算，以此类推，得到全新的运算算法。当然，以上我们只是简单的介绍两个改变运算优先级的规则，可以根据实际情况重新进行设定，如预设算法中实际上只包括了6个步骤，则可以通过改变生成的随机数的位数来调整。

在一个具体实施例中，结构确定单元改变预设算法的分组结构和分组结构的运算优先级具体包括。假若在预设算法的分组结构规则，将运算数据分成若干数据块，且每个数据块中包括8个小的分块(分别为B1、B2、B3、B4、B5、B6、B7和B8)，此时假若生成的随机密钥为25314687，且该8位随机密钥中的第一位代表运算顺序，第二为代表相应序号的小分块。则在运算过程中，位于第2位的5表示分块B5与分块B1交换以此改变该分组结构，位于第一位的2表示分块B2优先运算，以此实现目的。以上我们只是示例性的给出了一种具体实施方式，在其他实施例中，对上述分组规则(每个数据的长度)、随机密钥中每位数字对应的意义(如分块交换)等都可以根据实际情况进行设定，且在每种实施方式中，代表运算顺序的位数、代表小分块位置交换的位数都不做限定，如在另一具体实施例中，假若生成的随机密钥为31245678，此时该8位随机密钥中第1位的3代表分别B3与分块B1交换(随机密钥中的第一位3)，且分块B1优先运算(随机密钥中的第二位1)。

在一个具体实施例中，参数确定单元改变预设算法中的运算参数具体包括：假若预设算法中包括两个未知数X和Y，得到的随机密钥为57312468，则该运算算法中的X为3(随机密钥中的第三位)、Y为1(随机密钥中的第四位)，以此形成新的运算算法。在其它实施例中，随机密钥具体如何确定预设算法中的运算参数可以根据实际情况进行设定，如在一个实施例中，假若预设算法中只包括一个常数项9，则重置后的运算算法中的常数项为3(随即密钥中的第三位)，以此类推。

作为一个完整的实施例，假若算法生成模块中同时包括上述三个单元，且生成的随机密钥中的第1位代表运算优先级，第2位代表分组结构，第3位代表运算参数。此时，如若生成的随机密钥为83572146，则分组块中的B3与B1进行交换改变分组结构，分组块B8优先运算，同时将预设算法中的一常数项变为5，以此生成与用户唯一关联的运算算法。

对上述实施方式进行改进得到本实施方式，如图5所示，在该无线接入端120中包括：第二随机数生成模块121、第三存储模块122以及第二认证模块123，其中，第二随机数生成模块121与第三存储模块122连接，第二认证模块123与第三存储模块122连接。具体当无线终端110第一次连接无线接入端120时，除了认证服务器130基于用户输入的用户信息生成安全插件之外，无线接入端120会对用户输入的用户名和登录密码进行认证，具体包括：

首先，用户通过无线终端110中的信息获取模块111输入包括用户名、登录密码、地址信息等的用户信息，并将获取的该用户信息发送到无线接入端120。

无线接入端120接收到该用户信息之后，随即基于接收到的用户名在第三存储模块122中存储的现有的注册用户列表中进行查找，验证用户输入的用户名在之前是否已经在该无线接入端120中登录过。假若没有在现有的注册列表中查找到与输入的用户名相同的用户名，则该用户名验证成功，并将验证成功的消息反馈回无线终端110中；否则用户名验证失败，提示用户重新输入用户名。在用户名验证成功之后，无线接入端120将该用户名、登录密码以及地址信息关联存储在现有的注册用户列表中形成新的注册用户列表。

无线终端110接收到无线接入端120发送的验证结果之后，若收到的验证结果为验证失败，则重新选择新的用户名再次发送至无线接入端120中进行验证。若收到的验证结果为验证成功，则再一次使用信息获取模块111获取用户信息(如，获取移动设备标识(IMEI，International Mobile Equipment Identity)或通用唯一识别码(UUID，Universally Unique Identifier))；并将得到的用户信息和验证码请求一并发送至无线接入端120。

无线接入端120接收验证码请求之后，将此次接收到的用户信息与用户关联存储在第三存储模块122中，并发送指令至第二随机数生成模块121随机生成第二随机参数并将其作为验证码；接着将生成的验证码与用户关联存储在第三存储模块122中，并将其发送到至无线终端110中。无线终端110接收到无线接入端120发送的验证码并进行显示，同时在无线接入端120的登录页面中输入该验证码之后，发送验证码认证请求至无线接入端120。

无线接入端120接收到无线终端110发送的验证码之后，其包含的第二认证模块123随即将接收到的验证码与存储在第三存储模块122中的验证码进行比对，成功之后，连同存储在第三存储模块122中的用户信息发送插件生成请求至认证服务器130中；否则，发送出错信息至无线终端110中提示用户出错。之后，认证服务器130接收安全插件生成请求生成安全插件，并将其反馈至无线终端110中进行存储，实现无线终端110的第一次登陆，在后续的登录中，不再需要手动输入用户名和登录密码，内置在无线终端110中的安全插件会自动生成第一认证码至认证服务器130中进行认证，以此实现无线终端110的安全登录，且简化了后续登录的流程。

以上即为无线终端第一次接入无线接入端120发射的无线网的过程，从以上描述中可以看出，在第一次接入的过程中，只有在完成用户名的验证和验证码的验证之后，才会发送安全插件请求到认证服务器130中生成与该用户唯一关联的安全插件。从安全插件113生成的过程中我们知道，生成运算算法的随机密钥是基于用户信息生成的，自然得到的运算算法/安全插件与该用户唯一关联，非常的安全，用户不用担心会被破译。在一个具体实施例中，上述验证码为短信验证码，即在用户名和登录密码认证成功之后，返回认证结果至无线终端110中；此时，无线终端110中发送短信验证码请求至无线接入端120中，无线接入端120中第一随机数生成模块133随即生成短信验证码并将其发送至无线终端110中。无线终端110接收到该短信验证码，将其输入应用登录页面中，并将该短信验证码发送至无线接入端120中进行验证。

如图6所示，本发明还提供了一种基于无线接入的身份认证方法，具体来说，该身份认证方法包括：S1无线终端110连接无线接入端120发射的无线信号；S2无线终端110中的安全插件生成第一认证码，并将该第一认证码发送至认证服务器130；S3认证服务器130接收到第一认证码，基于其内置的安全插件生成第二认证码；S4认证服务器130将生成的第二认证码与接收到的第一认证码进行比对；S5认证服务器130将认证结果发送至无线接入端120；S6无线接入端120基于认证结果判定是否允许无线终端110接入无线网。具体，在步骤S2中，无线终端110中的安全插件基于其内置的运算算法和用户信息生成第一认证码；在步骤S3中，认证服务器130中的安全插件基于其内置的运算算法和用户信息生成第二认证码。要说明的是，上述用户信息具体包括：用户名、登录密码、地址信息、无线终端的移动设备标识或通用唯一识别码。在无线终端100和认证服务器130基于用户信息生成第一认证码和第二认证码的过程中，至少将用户信息中的用户名、无线终端的移动设备标识、通用唯一识别码等能够唯一标识该用户的信息中的一个作为计算因子，登录密码、地址信息等信息不作为必要的计算因子，可以根据实际情况进行选定。

在工作过程中，当无线终端110需要连接到无线接入端120发射的无线信号时，先开启无线终端110的无线连接功能，并连接上该无线信号(即无线终端110本地连接成功)。连接上了该无线信号之后，无线终端110随即使用其内置的安全插件基于运算算法和用户信息生成第一认证码，并将该用户信息和第一认证码一并发送至认证服务器130。认证服务器130接收到该用户信息之后，随即在第二存储模块131中查找到与之关联的安全插件(与无线终端110中存储的安全插件相同)，该安全插件使用内置的运算算法和用户信息生成第二认证码，并将生成的第二认证码与第一认证码进行比较。如果第二认证码和第一认证码相同，则认证服务器130对该无线终端110认证成功，此时认证服务器130发送控制指令至无线接入端120，允许该无线终端110接入外网；否则，认证服务器130反馈认证失败指令至无线终端110，进行重新认证。在具体实施例中，上述无线终端110为手机或平板电脑等，无线接入端120为无线接入点、无线路由等。

更具体来说，如图7所示，在步骤S1之前，还包括以下步骤：S01无线终端获取用户信息，并基于该用户信息发送登录请求至无线接入端；S02无线接入端接收到登录请求后，对其中的用户信息进行验证；S03用户信息验证通过之后，无线接入端将用户信息进行存储，并将验证结果返回至无线终端；S04无线终端接收验证结果，发送验证码请求至无线接入端；S05无线接入端接收验证码请求之后，随机生成第二随机参数作为验证码发送至无线终端；S06无线终端接收并显示验证码，同时基于接收到的验证码发送验证码认证请求至无线接入端；S07无线接入端接收验证码认证请求，并对验证码进行认证；若认证成功，将用户信息和安全插件生成请求一并发送至认证服务器；S08认证服务器接收安全插件生成请求，基于用户信息和内置的预设算法生成运算算法；S09认证服务器将运算算法和用户信息编程成安全插件，并将安全插件返回至无线终端中。在步骤S02中，无线接入端120基于接收到的用户信息在当前用户列表中进行查找，若未查找到相同的用户信息，则验证成功。在步骤S08中，具体包括：基于用户信息生成随机密钥；基于随机密钥确定运算算法优先级的运算优先级、和/或基于随机密钥确定运算算法的分组结构及分组结构的运算优先级，和/或基于随机密钥确定运算算法中运算参数以生成运算算法。认证服务器130生成安全插件的过程在身份认证系统100中已详细描述，在此不做赘述。

更进一步来说，在步骤S3中认证服务器130接收到第一认证码之后，还包括：S31认证服务器130生成第一随机参数；S32认证服务器130中的安全插件基于其该第一随机参数生成挑战码；S33认证服务器130将挑战码和第一随机参数一起下发至无线终端110；S34无线终端110中的安全插件基于接收到的第一随机参数生成认证挑战码，实现对认证服务器130的认证。具体来说，无线终端110向认证服务器130发送了第一认证码之后，认证服务器130中的安全插件会基于生成的第一随机参数生成挑战码，并将挑战码和第一随机参数一起下发至无线终端110。无线终端110接收到该挑战码和第一随机参数之后，其内置的安全插件会基于接收到的第一随机参数生成认证挑战码，进而将生成的认证挑战码和接收到的挑战码进行比较，若比对成功，则实现无线终端对对认证服务器130的认证；否则说明该无线接入端120是钓鱼接入点。

应当说明的是，上述实施例均可根据需要自由组合。以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (11)

1.一种基于无线接入的身份认证系统，其特征在于，所述身份认证系统中包括：无线终端、无线接入端以及认证服务器，其中，

连接所述无线接入端发射的无线信号的无线终端中包括：用于获取用户信息的信息获取模块和第一存储模块，所述第一存储模块用于存储生成第一认证码的安全插件，所述安全插件内置与用户唯一关联的运算算法和用户信息；

与所述无线终端通信连接的认证服务器中包括：第二存储模块及与所述第二存储模块连接的第一认证模块；所述第二存储模块中存有生成第二认证码的所述安全插件，所述认证模块基于生成的第二认证码对所述第一认证码进行认证；

与所述认证服务器通信连接的所述无线接入端基于所述认证服务器的认证结果实现所述无线终端无线信号的接入。

2.如权利要求1所述的身份认证系统，其特征在于，所述用户信息包括：用户名、登录密码、地址信息、无线终端的移动设备标识或通用唯一识别码。

3.如权利要求1或2所述的身份认证系统，其特征在于，

所述认证服务器中还包括一与所述第二存储模块连接的第一随机数生成模块，所述第一随机数生成模块生成第一随机参数；

所述认证服务器中的安全插件基于其该第一随机参数生成挑战码，并将所述挑战码和第一随机参数一起下发至所述无线终端；

所述无线终端中的安全插件基于接收到的第一随机参数生成认证挑战码，实现对所述认证服务器的认证。

4.如权利要求1或2所述的身份认证系统，其特征在于，

所述第二存储模块中还预存有一预设算法；所述第一随机数生成模块基于所述用户信息生成所述随机密钥；

所述认证服务器中还包括：算法重置模块以及编译模块；其中，

所述算法重置模块，分别与所述第二存储模块和所述第一随机数生成模块连接，所述算法重置模块基于所述随机密钥和所述预设算法生成所述运算算法；

所述编译模块，与所述算法重置模块连接，所述编译模块将所述算法重置模块生成的所述运算算法和用户信息编译为所述安全插件。

5.如权利要求4所述的身份认证系统，其特征在于，所述算法重置模块中包括：

优先级确定单元，用于根据所述随机密钥确定所述运算算法的运算优先级；和/或，

结构确定单元，用于根据所述随机密钥确定所述运算算法的分组结构及所述分组结构运算优先级；和/或，

参数确定单元，用于根据所述随机密钥确定所述运算算法中的运算参数。

6.如权利要求1或2或4所述的身份认证系统，其特征在于，

所述无线接入端中包括：第二随机数生成模块、第三存储模块以及第二认证模块，其中，

所述第二随机数生成模块，与所述第三存储模块连接，所述第二随机数生成模块用于生成第二随机参数，并将所述第二随机参数存储在第三存储模块中；

所述第二认证模块，与所述第三存储模块连接，所述第二认证模块用于认证所述用户信息和所述第二随机参数。

7.一种基于无线接入的身份认证方法，其特征在于，所述身份认证方法包括：

S1无线终端连接无线接入端发射的无线信号；

S2无线终端中的安全插件生成第一认证码，并将该第一认证码发送至认证服务器；

S3认证服务器接收到第一认证码，基于其内置的安全插件生成第二认证码；

S4认证服务器将生成的第二认证码与接收到的第一认证码进行比对；

S5认证服务器将认证结果发送至无线接入端；

S6所述无线接入端基于所述认证结果判定是否允许所述无线终端接入无线网。

8.如权利要求7所述的身份认证方法，其特征在于，在步骤S1之前，还包括以下步骤：

S01无线终端获取用户信息，并基于该用户信息发送登录请求至无线接入端；

S02所述无线接入端接收到所述登录请求后，对其中的用户信息进行验证；

S03所述用户信息验证通过之后，所述无线接入端将所述用户信息进行存储，并将验证结果返回至所述无线终端；

S04所述无线终端接收所述验证结果，发送验证码请求至所述无线接入端；

S05所述无线接入端接收所述验证码请求之后，随机生成第二随机参数作为验证码发送至所述无线终端；

S06所述无线终端接收并显示所述验证码，同时基于接收到的所述验证码发送验证码认证请求至所述无线接入端；

S07所述无线接入端接收所述验证码认证请求，并对所述验证码进行认证；若认证成功，将用户信息和安全插件生成请求一并发送至认证服务器；

S08认证服务器接收所述安全插件生成请求，基于所述用户信息和内置的预设算法生成运算算法；

S09所述认证服务器将所述运算算法和用户信息编程成安全插件，并将所述安全插件返回至无线终端中。

9.如权利要求7或8所述的身份认证方法，其特征在于，在步骤S3中认证服务器接收到第一认证码之后，还包括：

S31认证服务器生成第一随机参数；

S32认证服务器中的安全插件基于该第一随机参数生成挑战码；

S33认证服务器将所述挑战码和第一随机参数一起下发至所述无线终端；

S34无线终端中的安全插件基于接收到的第一随机参数生成认证挑战码，实现对所述认证服务器的认证。

10.如权利要求8所述的身份认证方法，其特征在于，

在步骤S2中，无线终端中的安全插件基于其内置的运算算法和用户信息生成第一认证码；和/或，

在步骤S3中，认证服务器中的安全插件基于其内置的运算算法和用户信息生成第二认证码；和/或，

在步骤S02中，所述无线接入端基于接收到的用户信息在当前用户列表中进行查找，若未查找到相同的用户信息，则验证成功。

11.如权利要求8所述的身份认证方法，其特征在于，在步骤S08中，具体包括：

基于用户信息生成随机密钥；

基于所述随机密钥确定所述运算算法优先级的运算优先级、和/或基于所述随机密钥确定所述运算算法的分组结构及所述分组结构的运算优先级，和/或基于所述随机密钥确定所述运算算法中运算参数以生成运算算法。